Ein aktueller Bericht von Barracuda Networks belegt: Phishing-as-a-Service (PhaaS) hat ein neues Bedrohungsniveau erreicht. Mehr als eine Million Angriffe wurden in den ersten beiden Monaten des Jahres 2025 registriert. Die eingesetzten Plattformen entwickeln sich rasant weiter und umgehen zunehmend gängige Sicherheitsmaßnahmen.

Foto: Barracuda Klaus Gheri, VP&GM Network Security bei Barracuda Zu Beginn des Jahres 2025 registrierten die Systeme von Barracuda Networks mehr als eine Million Phishing-Angriffe, die auf sogenannte Phishing-as-a-Service-Plattformen (PhaaS) zurückzuführen sind. Die drei Hauptakteure: Tycoon 2FA, EvilProxy und Sneaky 2FA. Gemeinsam machen sie deutlich, wie sich die Bedrohungslage durch Phishing verändert – weg von isolierten Einzeltätern hin zu organisierten, kommerzialisierten Angriffsdiensten mit ausgefeilten technischen Mitteln.

Verschleierung auf hohem Niveau bei Tycoon 2FA

Mit 89 Prozent war Tycoon 2FA für den Großteil der analysierten Angriffe verantwortlich. Laut Barracuda hat sich diese Plattform besonders durch ihre schnelle technische Weiterentwicklung hervorgetan. Die Angreifer nutzen unter anderem eine Substitutionschiffre und sogenannte Hangul-Füllzeichen, um ihren Code zu verschleiern. Zusätzlich identifiziert das Skript den verwendeten Browser und passt den Angriff entsprechend an.

Die gesammelten Anmeldedaten werden über den Messaging-Dienst Telegram exfiltriert. Eine AES-Verschlüsselung sorgt dabei für zusätzliche Tarnung. Bemerkenswert ist auch die Möglichkeit, einzelne Elemente einer Website dynamisch zu aktualisieren – unabhängig vom restlichen Seiteninhalt. Dadurch wird eine Erkennung durch Sicherheitslösungen deutlich erschwert.

Niedrige Einstiegshürden für Angreifer bei EvilProxy

EvilProxy war für acht Prozent der erkannten PhaaS-Angriffe verantwortlich. Die Plattform zeichnet sich durch ihre einfache Bedienbarkeit aus. „EvilProxy-Angriffe können mit minimaler technischer Expertise durchgeführt werden“, heißt es im Bericht. Ziel sind vor allem weit verbreitete Cloud-Dienste wie Microsoft 365 und Google.

Ein zentrales Problem: Der Quellcode der gefälschten Anmeldeseiten ähnelt stark dem Original, was eine Unterscheidung für Nutzer wie auch Sicherheitssysteme erschwert. Auch hier steht der Diebstahl von Anmeldedaten im Fokus, wobei eine realitätsnahe Benutzeroberfläche zum Einsatz kommt, um das Vertrauen der Opfer zu gewinnen.

Vorausgefüllte Phishing-Formulare bei Sneaky 2FA

Mit einem Anteil von drei Prozent war Sneaky 2FA im Vergleich weniger aktiv, dennoch technisch bemerkenswert. Die Plattform nutzt sogenannte Adversary-in-the-Middle-Angriffe (AiTM), ebenfalls mit Fokus auf Microsoft 365-Konten. Dabei überprüft das System zunächst automatisiert, ob ein Ziel legitim ist – Bots oder Sicherheitstools werden umgeleitet.

Besonders auffällig ist die „Autograb“-Funktion: Noch bevor das eigentliche Phishing-Formular angezeigt wird, wird es mit der bekannten E-Mail-Adresse des Opfers vorausgefüllt. Dies erhöht die Wahrscheinlichkeit, dass Nutzer ihre Daten ohne Verdacht eingeben.

„Die Plattformen, die Phishing-as-a-Service ermöglichen, werden immer komplexer und ausgefeilter, sodass traditionelle Sicherheits-Tools Phishing-Angriffe nur noch schwer erkennen können“, warnt Klaus Gheri, VP&GM Network Security bei Barracuda. Unternehmen rät er zu einer mehrschichtigen Sicherheitsstrategie mit KI-gestützter Erkennung, kombiniert mit Sicherheitskultur und klaren Richtlinien für Authentifizierung und Zugriff.